内容摘要：APT27，一个被安全厂商称为“铁幕”的黑客组织，自2022年8月起对台湾的金融、能源和交通系统展开了长达数月的定向攻击。他们的手法不算高明——没有零日漏洞，没有复杂供应链投毒，靠的是公开的漏洞扫描和

APT27，客组一个被安全厂商称为“铁幕”的织攻黑客组织，自2022年8月起对台湾的击台金融、能源和交通系统展开了长达数月的客组定向攻击。他们的织攻手法不算高明——没有零日漏洞，没有复杂供应链投毒，击台靠的客组是公开的漏洞扫描和钓鱼邮件。但效果出奇地好：台新银行网银一度瘫痪，织攻桃园机场航班显示系统闪烁乱码，击台高雄港的客组集装箱调度数据被加密勒索。

最典型的织攻案例是2023年3月对台湾电力公司的攻击。APT27先渗透了一家外包维护商的击台VPN账号，再横向移动到调度系统。客组他们没有直接断电，织攻而是击台篡改了电网负载预测算法，让北部地区在用电高峰时段意外跳闸。台北内湖科学园区的一栋写字楼突然黑灯，电梯卡在半空，服务器机房UPS蜂鸣报警。事后台电内部报告承认，攻击者在内网潜伏了11天，期间多次访问了核电机组监控界面——虽未触发安全机制，但足以让人后背发凉。

这个组织的攻击节奏很“工作日化”。周一上午九点投放钓鱼邮件，主题通常是“劳保局补助通知”或“地价税催缴单”，附件是伪装成PDF的EXE文件。若有人点击，后门程序会先检测系统语言——若为简体中文则立即自毁，若为繁体中文则继续执行。这种针对性筛选说明他们对目标群体做过功课。更令人不安的是，他们常利用台湾本地论坛如Mobile01和批踢踢作为C2指令的中转站，把控制流量混在正常网页浏览中，让防火墙难以辨别。

台湾的“数位发展部”曾公开指责APT27是“国家级攻击”，但证据链始终含糊。安全公司Mandiant追踪到该组织使用的部分基础设施与大陆某省通信管理局的IP段重合，但无法确认是直接指挥还是“借用”了被黑服务器。民间有工程师私下吐槽：台电的工控系统还停留在Windows XP时代，连基本的网络分段都没做全，APT27进来就像拿钥匙开自家门。

攻击造成的实际损失其实有限，但心理冲击不小。台积电在事件后紧急扩大了网络安全部门编制，部分银行开始强制员工每季度更换密码，连便利店的ATM机都加装了物理键盘防侧录器。讽刺的是，APT27在攻陷某县市户政系统后，只删除了数据并未索要赎金——这更像是一种政治宣示而非经济勒索。

这场攻防战暴露了台湾关键基础设施的脆弱性：多数单位重硬件轻软件，重合规轻实战。当APT27的样本被安全厂商公开后，台湾方面发现其使用的工具竟有一半是开源的——Mimikatz、Cobalt Strike、PowerSploit，任何一个脚本小子都能拿到。真正可怕的是防御方的迟钝：攻击发生三周后，台电才确认数据泄露范围，而某些被攻破的县市官网至今仍挂着“系统维护中”的公告。

我翻看APT27的历年战果，发现一个规律：他们很少攻击大陆目标，却对台湾和日本下手特别勤快。攻击手法谈不上精致，但胜在耐心和时机把握——总挑在台湾选举季、日本黄金周等社会注意力分散的节点动手。这种“低成本高扰动”的模式，或许比那些炫技式攻击更值得警惕。